(57)【要約】【課題】２組のデータの選び方に制限を設け、その制限の範囲内となる任意の２組のデータについてのコンピュータシステムの秘匿性を検査する秘匿性検査装置を提供する。【解決手段】秘匿性検査装置１において、第１の観測等価性判定部３１は、１組のデータｄに基づくコンピュータシステム１０の実行結果Ｓ（ｄ）と、ｄと同値関係を満たすｄ’に基づく第２のコンピュータシステム１５の実行結果Ｓ’（ｄ）とに基づいて実行結果が観測等価となるか否かを判定する。第２の観測等価性判定部３２は、第１の観測等価性判定部３１が観測等価となると判定した場合、１組のデータｄに基づく第２のコンピュータシステム１５の実行結果Ｓ’（ｄ）と、ｄと同値関係を満たすｄ’を第１の入力部２０が入力した際の第２のコンピュータシステム１５の実行結果Ｓ’（ｄ’）とに基づいて実行結果が観測等価となるか否かを判定し、出力部３３は、観測等価の場合「真」を出力する。【選択図】    図１
2007066184.tif 000002
【特許請求の範囲】
【請求項１】
２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して予め定められる処理に基づく実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムの部分的な秘匿性を検査する秘匿性検査装置であって、
前記第１の入力手段からの入力される前記１組のデータと予め定められる同値関係を満たす１組のデータを検出し、前記実行手段が有する機能の全部あるいは一部の機能に基づき、検出した１組のデータを入力として実行し１組のデータを出力する第２のコンピュータシステムと、
入力される第１の１組のデータに基づいて前記コンピュータシステムが実行して出力する第１の実行結果情報と、前記第１の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第１の観測等価性判定手段と、
前記第１の観測等価性判定手段が観測等価となると判定した場合、入力される第２の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第３の実行結果情報と、前記第２の１組のデータと同値関係を満たす第３の１組のデータが入力された際に前記第２のコンピュータシステムが実行して出力する第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第２の観測等価性判定手段と、
前記第２の観測等価性判定手段が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力する出力手段と、
を備えたことを特徴とする秘匿性検査装置。
【請求項２】
２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して予め定められる処理に基づく実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムの部分的な秘匿性を検査する秘匿性検査装置であって、
前記コンピュータシステムの動作に基づいて定められる前記２組のデータの選び方の制限条件となる同値関係情報を入力する第２の入力手段と、
前記コンピュータシステムの動作に基づいて定められる前記実行手段が有する機能の全部あるいは一部の機能を有する第２の実行手段と、
前記第２の入力手段が入力する前記同値関係情報に基づいて、前記第１の入力手段から入力される１組のデータと同値関係を満たす１組のデータを検出して前記第２の実行手段に入力するサブコンピュータ手段と、
前記第１の入力手段が入力する第１の１組のデータに基づいて前記第実行手段が実行することにより出力される第１の実行結果情報と、前記第１の入力手段が入力する前記第１の１組のデータに対して前記サブコンピュータ手段が検出して入力する１組のデータに基づいて前記第２の実行手段が実行することにより出力される第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第１の観測等価性判定手段と、
前記第１の観測等価性判定手段が観測等価となると判定した場合、前記第１の入力手段が入力する第２の１組のデータに基づいてサブコンピュータ手段が検出して入力する第３の１組のデータが前記第２の実行手段により実行されることにより出力される第３の実行結果情報と、前記第１の入力手段が前記第３の１組のデータを入力した際に前記サブコンピュータ手段が検出して入力する１組のデータが前記第２の実行手段により実行されることにより出力される第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第２の観測等価性判定手段と、
前記第２の観測等価性判定手段が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力する出力手段と、
を備えたことを特徴とする秘匿性検査装置。
【請求項３】
前記第１の観測等価性判定手段、あるいは前記第２の観測等価性判定手段により、観測等価であると判定されない場合、
前記第２の実行手段が有する機能を前記実行手段の全部あるいは一部の機能の範囲内で変更させることを特徴とする請求項２に記載の秘匿性検査装置。
【請求項４】
前記第１の観測等価性判定手段、または前記第２の観測等価性判定手段は、定理証明システムに基づいて観測等価であるか否かを判定することを特徴とする請求項２または３に記載の秘匿性検査装置。
【請求項５】
２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して予め定められる処理に基づく実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムと、前記第１の入力手段からの入力される前記１組のデータと予め定められる同値関係を満たす１組のデータを検出し、前記実行手段が有する機能の全部あるいは一部の機能に基づき、検出した１組のデータを入力として実行し１組のデータを出力する第２のコンピュータシステムと、に基づく前記コンピュータシステムの秘匿性検査方法であって、
入力される第１の１組のデータに基づいて前記コンピュータシステムが実行して出力する第１の実行結果情報と、前記第１の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、
前記第１の観測等価性判定手段が観測等価となると判定した場合、入力される第２の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第３の実行結果情報と、前記第２の１組のデータと同値関係を満たす第３の１組のデータが入力された際に前記第２のコンピュータシステムが実行して出力する第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、
前記第２の観測等価性判定手段が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力するステップと、
を含むことを特徴とする秘匿性検査方法。
【請求項６】
２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムの部分的な秘匿性を検査する秘匿性検査方法であって、
前記コンピュータシステムの動作に基づいて前記２組のデータの選び方の制限条件となる同値関係情報を入力するステップと、
前記コンピュータシステムの動作に基づいて前記実行手段が有する機能の全部あるいは一部の機能を有する第２の実行手段を構成するステップと、
前記第１の入力手段が入力する第１の１組のデータに基づいて前記実行手段が実行することにより第１の実行結果情報を出力するステップと、
前記第１の入力手段が入力する前記第１の１組のデータに対して前記同値関係情報に基づいて検出される１組のデータに基づいて前記第２の実行手段が実行することにより第２の実行結果情報を出力するステップと、
第１の実行結果情報と、第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、
第１の実行結果情報と、第２の実行結果情報とに基づいて実行結果が観測等価となると判定された場合、前記第１の入力手段が入力する第２の１組のデータに対して前記同値関係情報に基づいて検出される第３の１組のデータが前記第２の実行手段により実行されることにより第３の実行結果情報を出力するステップと
前記第１の入力手段が前記第３の１組のデータを入力した際に前記同値関係情報に基づいて検出される１組のデータが前記第２の実行手段により実行されることにより第４の実行結果情報を出力するステップと、
前記第３の実行結果情報と、前記第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、
前記第３の実行結果情報と、前記第４の実行結果情報とに基づいて実行結果が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力するステップと、
を含むことを特徴とする秘匿性検査方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主にコンピュータシステムの秘匿性の検査を行う秘匿性検査装置及び秘匿性検査方法に関する。
【背景技術】
【０００２】
入力されたデータに従って動作するコンピュータシステムにおいて、当該コンピュータシステムの動作を外部から制御および観測することにより、出力されるデータに基づいて、入力されるデータを高い正確さで推測することが可能でないとき、当該コンピュータシステムは秘匿性を満たすという。また、コンピュータシステムが秘匿性を満たすか否かを判定する検査は、コンピュータシステムの秘匿性検査と呼ばれている。
【０００３】
コンピュータシステムの秘匿性検査を行う技術の１つとして、任意の２組のデータについて、一方の１組のデータを入力した場合のコンピュータシステムの動作と、他方の１組のデータを入力した場合のコンピュータシステムの動作とが外部からの操作および観測によって区別できないことを示すことにより秘匿性検査を行う従来技術が知られている（例えば、非特許文献１及び２参照）。秘匿性検査において、２つのコンピュータシステムの動作が、外部からの操作および観測によって区別できないとき、これらの２のコンピュータシステムの動作は観測等価であるとされ、観測等価である場合には、秘匿性があるものとして判定される。
【非特許文献１】Martin Abadi, "Secrecy by Typing in Security Protocols", Journal of the ACM 46, 5(September 1999), 749-786.
【非特許文献２】Bruno Blanchet, "Automatic Proof of Strong Secrecy for Security Protocols.", In IEEE Symposium on Security and Privacy, pages 86-100, Oakland, Calfornia, May 2004.
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記の従来技術では、任意の２組のデータについて、それぞれを入力とした場合のコンピュータシステムの動作が観測等価であることを示すことができる。
【０００５】
ところで、任意の２組のデータについて観測等価とならないようなコンピュータシステムであっても、部分的、すなわち一定の条件の下で秘匿性があるかを検査することは重要であり、このような秘匿性検査を行うためには、２組のデータの選び方に制限を設け、その制限の範囲内となる任意の２組のデータについてコンピュータシステムの動作が観測等価であるか否かを示すことが必要となる。
【０００６】
しかしながら、上記の従来技術では、２組のデータの選び方に制限を設け、その制限の範囲内となる任意の２組のデータについてコンピュータシステムの動作が観測等価であるか否かを示すことができないという問題がある。
【０００７】
本発明は、上記問題を解決すべくなされたもので、その目的は、２組のデータの選び方に制限を設け、その制限の範囲内となる任意の２組のデータについてコンピュータシステムの動作が観測等価であるか否かを示すことができる秘匿性検査装置及び秘匿性検査方法を提供することにある。
【課題を解決するための手段】
【０００８】
上記問題を解決するために、本発明は、２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して予め定められる処理に基づく実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムの部分的な秘匿性を検査する秘匿性検査装置であって、前記第１の入力手段からの入力される前記１組のデータと予め定められる同値関係を満たす１組のデータを検出し、前記実行手段が有する機能の全部あるいは一部の機能に基づき、検出した１組のデータを入力として実行し１組のデータを出力する第２のコンピュータシステムと、入力される第１の１組のデータに基づいて前記コンピュータシステムが実行して出力する第１の実行結果情報と、前記第１の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第１の観測等価性判定手段と、前記第１の観測等価性判定手段が観測等価となると判定した場合、入力される第２の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第３の実行結果情報と、前記第２の１組のデータと同値関係を満たす第３の１組のデータが入力された際に前記第２のコンピュータシステムが実行して出力する第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第２の観測等価性判定手段と、前記第２の観測等価性判定手段が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力する出力手段と、を備えたことを特徴とする秘匿性検査装置である。
【０００９】
本発明は、２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して予め定められる処理に基づく実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムの部分的な秘匿性を検査する秘匿性検査装置であって、前記コンピュータシステムの動作に基づいて定められる前記２組のデータの選び方の制限条件となる同値関係情報を入力する第２の入力手段と、前記コンピュータシステムの動作に基づいて定められる前記実行手段が有する機能の全部あるいは一部の機能を有する第２の実行手段と、前記第２の入力手段が入力する前記同値関係情報に基づいて、前記第１の入力手段から入力される１組のデータと同値関係を満たす１組のデータを検出して前記第２の実行手段に入力するサブコンピュータ手段と、前記第１の入力手段が入力する第１の１組のデータに基づいて前記第実行手段が実行することにより出力される第１の実行結果情報と、前記第１の入力手段が入力する前記第１の１組のデータに対して前記サブコンピュータ手段が検出して入力する１組のデータに基づいて前記第２の実行手段が実行することにより出力される第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第１の観測等価性判定手段と、前記第１の観測等価性判定手段が観測等価となると判定した場合、前記第１の入力手段が入力する第２の１組のデータに基づいてサブコンピュータ手段が検出して入力する第３の１組のデータが前記第２の実行手段により実行されることにより出力される第３の実行結果情報と、前記第１の入力手段が前記第３の１組のデータを入力した際に前記サブコンピュータ手段が検出して入力する１組のデータが前記第２の実行手段により実行されることにより出力される第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する第２の観測等価性判定手段と、前記第２の観測等価性判定手段が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力する出力手段と、を備えたことを特徴とする秘匿性検査装置である。
【００１０】
本発明は、上記に記載の発明において、前記第１の観測等価性判定手段、あるいは前記第２の観測等価性判定手段により、観測等価であると判定されない場合、前記第２の実行手段が有する機能を前記実行手段の全部あるいは一部の機能の範囲内で変更させることを特徴とする。
【００１１】
本発明は、上記に記載の発明において、前記第１の観測等価性判定手段、または前記第２の観測等価性判定手段は、定理証明システムに基づいて観測等価であるか否かを判定することを特徴とする。
【００１２】
本発明は、２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して予め定められる処理に基づく実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムと、前記第１の入力手段からの入力される前記１組のデータと予め定められる同値関係を満たす１組のデータを検出し、前記実行手段が有する機能の全部あるいは一部の機能に基づき、検出した１組のデータを入力として実行し１組のデータを出力する第２のコンピュータシステムと、に基づく前記コンピュータシステムの秘匿性検査方法であって、入力される第１の１組のデータに基づいて前記コンピュータシステムが実行して出力する第１の実行結果情報と、前記第１の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、前記第１の観測等価性判定手段が観測等価となると判定した場合、入力される第２の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第３の実行結果情報と、前記第２の１組のデータと同値関係を満たす第３の１組のデータが入力された際に前記第２のコンピュータシステムが実行して出力する第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、前記第２の観測等価性判定手段が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力するステップと、を含むことを特徴とする秘匿性検査方法である。
【００１３】
本発明は、２つ以上の情報を組み合わせとする１組のデータを入力する第１の入力手段と、前記第１の入力手段が入力する１組のデータに対して実行を行い実行結果を出力する実行手段とを備え、前記第１の入力手段が入力する任意の２組のデータに対する実行結果が観測等価とならないコンピュータシステムの部分的な秘匿性を検査する秘匿性検査方法であって、前記コンピュータシステムの動作に基づいて前記２組のデータの選び方の制限条件となる同値関係情報を入力するステップと、前記コンピュータシステムの動作に基づいて前記実行手段が有する機能の全部あるいは一部の機能を有する第２の実行手段を構成するステップと、前記第１の入力手段が入力する第１の１組のデータに基づいて前記実行手段が実行することにより第１の実行結果情報を出力するステップと、前記第１の入力手段が入力する前記第１の１組のデータに対して前記同値関係情報に基づいて検出される１組のデータに基づいて前記第２の実行手段が実行することにより第２の実行結果情報を出力するステップと、第１の実行結果情報と、第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、第１の実行結果情報と、第２の実行結果情報とに基づいて実行結果が観測等価となると判定された場合、前記第１の入力手段が入力する第２の１組のデータに対して前記同値関係情報に基づいて検出される第３の１組のデータが前記第２の実行手段により実行されることにより第３の実行結果情報を出力するステップと前記第１の入力手段が前記第３の１組のデータを入力した際に前記同値関係情報に基づいて検出される１組のデータが前記第２の実行手段により実行されることにより第４の実行結果情報を出力するステップと、前記第３の実行結果情報と、前記第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定するステップと、前記第３の実行結果情報と、前記第４の実行結果情報とに基づいて実行結果が観測等価と判定した場合、前記同値関係情報の制限条件を満たす２組のデータに対して前記コンピュータシステムが観測等価であることを出力するステップと、を含むことを特徴とする秘匿性検査方法である。
【発明の効果】
【００１４】
この発明によれば、秘匿性検査装置は、第１の入力手段からの入力される１組のデータと予め定められる同値関係を満たす１組のデータを検出し、実行手段が有する機能の全部あるいは一部の機能に基づき、検出した１組のデータを入力として実行し１組のデータを出力する第２のコンピュータシステムを備えている。入力される第１の１組のデータに基づいてコンピュータシステムが実行して出力する第１の実行結果情報と、前記第１の１組のデータに基づいて前記第２のコンピュータシステムが実行して出力する第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する。また、観測等価となると判定した場合、入力される第２の１組のデータに基づいて第２のコンピュータシステムが実行して出力する第３の実行結果情報と、第２の１組のデータと同値関係を満たす第３の１組のデータが入力された際に第２のコンピュータシステムが実行して出力する第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定し、観測等価と判定した場合、同値関係情報の制限条件を満たす２組のデータに対してコンピュータシステムが観測等価であることを出力する構成とした。これにより、検査対象となるコンピュータシステムと、当該コンピュータシステムに入力される１組のデータと同値関係となる１組のデータに基づいて実行する第２のコンピュータシステムとに基づいて、制限の範囲内の任意の２組のデータについて、コンピュータシステムの２組のデータによる実行結果が観測等価であるか否かを判定することができ、コンピュータシステムの部分的な秘匿性検査を行うことが可能となる。
【００１５】
この発明によれば、秘匿性検査装置は、コンピュータシステムの動作に基づいて２組のデータの選び方の制限条件となる同値関係情報を入力し、コンピュータシステムの動作に基づいて実行手段が有する機能の全部あるいは一部の機能を有する第２の実行手段を構成する。第１の入力手段が入力する第１の１組のデータに基づいて実行手段が実行することにより第１の実行結果情報を出力する。第１の入力手段が入力する第１の１組のデータに対して同値関係情報に基づいて検出される１組のデータに基づいて第２の実行手段が実行することにより第２の実行結果情報を出力する。第１の実行結果情報と、第２の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する。第１の実行結果情報と、第２の実行結果情報とに基づいて実行結果が観測等価となると判定された場合、前記第１の入力手段が入力する第２の１組のデータに対して前記同値関係情報に基づいて検出される第３の１組のデータが前記第２の実行手段により実行されることにより第３の実行結果情報を出力する。第１の入力手段が前記第３の１組のデータを入力した際に同値関係情報に基づいて検出される１組のデータが前記第２の実行手段により実行されることにより第４の実行結果情報を出力する。第３の実行結果情報と、前記第４の実行結果情報とに基づいて実行結果が観測等価となるか否かを判定する。第３の実行結果情報と、第４の実行結果情報とに基づいて実行結果が観測等価と判定した場合、同値関係情報の制限条件を満たす２組のデータに対してコンピュータシステムが観測等価であることを出力する構成とした。これにより、入力される２組のデータの選び方に同値関係情報によって定められる制限を設け、その制限の範囲内の任意の２組のデータについて、コンピュータシステムの２組のデータによる実行結果が観測等価であるか否かを判定することができ、コンピュータシステムの部分的な秘匿性検査を行うことが可能となる。
【００１６】
また、この発明によれば、秘匿性検査装置は、観測等価であると判定されない場合、第２の実行手段が有する機能を実行手段の全部あるいは一部の機能の範囲内で変更させる構成とした。これにより、検査対象とするコンピュータシステムの実行手段の機能を限定することが可能となる。
【００１７】
また、この発明によれば、観測等価を判定する場合、定理証明システムに基づいて観測等価であるか否かを判定する構成とした。これにより、仮定する論理式及び証明すべき論理式を入力とし、仮定する論理式に予め決められた推論規則を適用して証明すべき論理式を得られるか否かにより観測等価か否かを判定することが可能となる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の一実施形態について図面を参照して説明する。
図１は、本実施形態による秘匿性検査装置１を示す概略ブロック図である。
秘匿性検査装置１において、コンピュータシステム１０は、秘匿性検査の対象となるコンピュータシステムであり、実行部１２と第１の入力部２０とを具備する。実行部１２は、いくつかの演算などを行う機能ブロックを内部に有しており、入力端子１２−１〜１２−Ｎは、それぞれ異なる機能ブロックに接続し、第１の入力部２０が入力端子１２−１に接続される場合、全ての機能ブロックが動作し、本来のコンピュータシステム１０としての動作を行う。また、入力端子１２−２〜１２−Ｎに接続される場合、内部の機能ブロックの一部が動作することになり、実行部１２の検査対象とする機能ブロックを分けることができる。また、実行部１２は、入力端子１２−１〜１２−Ｎから入力されるデータに含まれる情報に基づいて、それぞれの機能ブロックによる演算を行い、２つ以上の情報を組み合わせた１組のデータごとに１つの実行結果を算出し、記憶部３０に記録する。第１の入力部２０は、実行部１２の入力端子１２−１及び、後述するサブコンピュータシステム１３に接続され、２つ以上の情報を組み合わせた１組のデータを入力する。
【００１９】
第２のコンピュータシステム１５は、コンピュータシステム１０の秘匿性を検査するためにコンピュータシステム１０との関係で観測等価になるか否かを判定するためにコンピュータシステム１０の構成の全部あるいは一部を選択して仮想的に構成されるコンピュータシステムである。全部あるいは一部を選択するかは、実行部１２のいずれの入力端子１２−１〜１２−Ｎにサブコンピュータシステム１３の出力が接続されるかによって選択されることになる。第２のコンピュータシステム１５は、コンピュータシステム１０における第１の入力部２０と、入力端子１２−１〜１２−Ｎにより限定される機能を有する実行部１２と、第１の入力部２０及び実行部１２に接続されるサブコンピュータシステム１３とを具備している。
【００２０】
サブコンピュータシステム１３に接続される第２の入力部１４は、コンピュータシステム１０の部分的な秘匿性を検査する際に、検査に用いられる２組のデータの選び方を制限する同値関係情報を入力する。サブコンピュータシステム１３は、第２の入力部１４から入力される同値関係情報と、第１の入力部２０から入力される１組のデータとに基づいて、第１の入力部２０から入力される１組のデータと同値関係となるデータを算出し、その中から１組のデータをランダムに検出し、検出した１組のデータを実行部１２のいずれかの入力端子１２−１〜１２−Ｎに入力する。
【００２１】
第１の観測等価性判定部３１は、第１の入力部２０が入力する任意の１組のデータに基づいて実行部１２が実行した実行結果、すなわちコンピュータシステム１０による実行結果と、当該１組のデータが第１の入力部２０によりサブコンピュータシステム１３に入力され、サブコンピュータシステム１３により検出された１組のデータに基づく実行部１２の実行結果、すなわち第２のコンピュータシステム１５による実行結果とを記憶部３０から読み出し、読み出した２つの実行結果を比較し、実行結果が観測等価になるか否かを判定する。
【００２２】
第２の観測等価判定部３１は、第１の観測等価性判定部３１により観測等価であると判定された場合に、第１の入力部２０が入力する任意の１組のデータに基づく第２のコンピュータシステム１５の実行結果と、当該１組のデータに基づいてサブコンピュータシステム１３が算出した同値関係を満たす１組のデータが第１の入力部２０から入力された際の第２のコンピュータシステムの実行結果とを記憶部３０から読み出し、読み出した２の実行結果を比較し、実行結果が観測等価になるか否かを判定する。
【００２３】
出力部３３は、第２の観測等価判定部３２によって観測等価であると判定された場合、「真」を出力し、第２の観測等価判定部３２によって観測等価であると判定されなかった場合、または第１の観測等価半手部３１によって観測等価であると判定されなかった場合「偽」を出力する。
【００２４】
ここで、図２を参照して、上記の秘匿性検査装置１によって行われる秘匿性検査について説明する。まず最初に、コンピュータシステムをＳとし、入力される１組のデータをｄとした場合、当該コンピュータシステムによる実行結果は、Ｓの関数としてＳ（ｄ）で表される。このＳ（ｄ）を外部から制御及び観測することにより、入力されたデータｄを高い正確さで推測することができるか否かを判定することを、コンピュータシステムＳの秘匿性検査という。
【００２５】
２つのコンピュータシステムＳ及びＳ’、及び２組のデータｄ及びｄ’に対し、実行結果Ｓ（ｄ）及びＳ’（ｄ’）を外部から制御及び観測することにより区別できないとき、Ｓ（ｄ）とＳ’（ｄ’）とは観測等価であるという。
【００２６】
上述したように、非特許文献１及び２に示されるようなコンピュータシステムＳにおいて、任意の２組のデータｄおよびｄ’に対し、実行結果Ｓ（ｄ）及びＳ（ｄ’）が観測等価であるか否かを判定する観測等価判定技術が存在する。
【００２７】
この観測等価判定技術を用いて、実行結果Ｓ（ｄ）及びＳ（ｄ’）が観測等価であることが判定されれば、コンピュータシステムＳの動作から入力データを高い正確さで推測できないこととなり、コンピュータシステムＳは秘匿性を満たすことになる。なぜなら、観測等価である以上、実行結果Ｓ（ｄ）から入力がｄであると推測できるならば、Ｓ（ｄ）と区別できない実行結果Ｓ（ｄ’）からも同じく入力がｄであると推測できるはずである。しかし、これはｄ’とｄが異なる場合には誤った推測になり、実行結果Ｓ（ｄ）及びＳ（ｄ’）に基づいて、入力データが特定できておらずコンピュータシステムＳは秘匿性を満たすと言うことができる。
【００２８】
上記の観測等価判定技術では、任意の２組のデータを入力した場合の実行が観測等価であるか否かを判定していたが、当該観測等価判定技術では任意の２組のデータを入力した場合に限られている。そのため、仮に、制限のある２組のデータを入力した場合に秘匿性を満たすコンピュータシステムが存在していたとしても、上記の観測等価判定技術では、観測等価とはならず、秘匿性を満たさないと判定されてしまう。
【００２９】
そこで、次に、制限のある２組のデータに基づくコンピュータシステムの秘匿性検査について、コンピュータシステム１０の一例である図２に示す投票システム１００を参照して説明する。投票システム１００は、２名の有権者による投票を入力とし、候補者ごとの得票数を出力する。
当該投票システム１００は、投票のための２台の入力装置２１と入力装置２２と、集計を行う集計装置１２ａとを備えている。入力装置２１と入力装置２２は、集計装置１２ａと接続されており、入力された情報を集計装置１２ａに送信する。２名の有権者は、それぞれ入力装置２１と入力装置２２を操作して、候補者名を含む情報を１つ入力することができる。
【００３０】
集計装置１２ａは、入力装置２１と入力装置２２とから候補者名を含む情報を受信し、受信した情報から候補者名を読み出し、候補者名ごとの得票数を算出し、算出した得票数を候補者名に対応付けて出力する。なお、入力装置２１と入力装置２２と集計装置１２ａは、上記以外の情報を漏らさないものとする。
【００３１】
ここで、例えば、２名の有権者Ａ及びＢが、それぞれ候補者Ｘ及びＹに投票する場合、有権者Ａ及びＢによって操作される入力装置２１と入力装置２２は、それぞれ候補者Ｘと候補者Ｙの名前を含む情報が入力し、これらの情報を集計装置１２ａに送信する。集計装置１２ａは、候補者ごとの得票数、すなわち候補者Ｘ及びＹがそれぞれ１票ずつ得票したという得票数を出力する。
【００３２】
上記の場合とは逆に、有権者Ａ及びＢが、それぞれ候補者Ｙ及びＸに投票する場合でも、集計装置１２ａから出力される情報は上記の場合と同じである。このとき、有権者Ａ及びＢが、それぞれ候補者Ｘ及びＹを投票する場合と、有権者Ａ及びＢが、それぞれ候補者Ｙ及びＸを投票する場合とは、外部の観測者には区別することができず観測等価となる。
【００３３】
しかし、２名の有権者Ａ及びＢが、ともに候補者Ｘに投票する場合は、上記の２つの場合と異なり候補者Ｘが得票数２として出力されるため、外部の観測者は、上記の２つの場合と２名の有権者Ａ及びＢが、ともに候補者Ｘに投票する場合とを区別することが可能である。つまり、当該投票システム１００は、任意の２組の入力、すなわち２名の有権者Ａ及びＢの投票において観測等価とはならない。
【００３４】
しかし、上記の投票システム１００において、有権者Ａ及びＢが、それぞれ候補者Ｘ及びＹを投票する場合と、有権者Ａ及びＢが、それぞれ候補者Ｙ及びＸを投票する場合については、投票システム１００の動作を区別ができないため、これらの場合について投票システム１００は秘匿性を部分的に満たしていると考えることもできる。つまり、各候補者の得票数が同じであるという制限を設けることで、その制限の範囲内での任意の２つの場合は観測等価であるといえる。
【００３５】
図１に示した秘匿性検査装置１は、上記のような制限として、２組のデータが同値関係によって表されるという制限を採用し、その制限の範囲内にある任意の２組のデータについて、コンピュータシステム１０と第２のコンピュータシステム１５が観測等価であるか否かを判定することにより、上記の制限の下でコンピュータシステム１０が秘匿性を満たすか否かを検査することを可能とする。
【００３６】
上記の同値関係とは、２組のデータｄおよびｄ’の選び方を制限する情報であり、以下の説明では、同値関係をＲで示し、ｄとｄ’がＲのもとで同値であることは、ｄＲｄ’で示すこととする。また、上述した第２の入力部１４から入力される同値関係情報とは、ある１組のデータｄが入力された場合に、当該１組のデータｄとｄＲｄ’となるｄ’を算出するための情報である。
【００３７】
次に、図３を参照して、秘匿性検査装置１の動作について説明する。
まず、最初に検査対象となるコンピュータシステム１０を構成する。図１のコンピュータシステム１０の場合には、第１の入力部２０と実行部１２とを備え、第１の入力部２０は実行部１２の入力端子１２−１に接続し、本来のコンピュータシステム１０として動作するように構成する（ステップＳ１）。
【００３８】
次に、コンピュータシステム１０の部分的な秘匿性を検査するため、サブコンピュータシステム１３を、コンピュータシステム１０の第１の入力部２０の出力と、実行部１２の入力端子１２−１〜１２−Ｎのいずれかに接続する。予め検査対象とする実行部１２の機能ブロックが特定される場合、いずれか１つに接続してもよいが、特定されていない場合、入力端子１２−１〜１２−Ｎに順に切り替えていくような切り替え手段を備え、後述する第１の観測等価性判定部３１や第２の観測等価性判定部３２により観測等価でないと判定された際に、第１の観測等価性判定部３１あるいは第２の観測等価性判定部３２から指示を受けて、切り替え手段がサブコンピュータシステム１３の出力を入力端子１２−１〜１２−Ｎの順に切り替えていくようにしてもよい。
【００３９】
そして、ステップＳ１にて構成されたコンピュータシステム１０の動作、すなわち入出力の関係に基づいて、予めユーザが定める同値関係Ｒを示す同値関係情報を第２の入力部１４がサブコンピュータシステム１３に入力する。これにより、サブコンピュータシステム１３は、第１の入力部２０が入力する１組のデータと同値関係となる１組のデータを検出して出力することになる
【００４０】
このとき、第１の入力部２０の構成の部分と、サブコンピュータシステム１３に接続されるいずれかの入力端子１２−１〜１２−Ｎに対応する実行部１２の中の機能ブロックの部分によって構成されるコンピュータシステムをメインコンピュータとする。このとき、第２のコンピュータシステム１５は、メインコンピュータシステムとサブコンピュータシステムとを備えるコンピュータシステムとして構成される（ステップＳ２）。
【００４１】
次に、コンピュータシステム１０と、第２のコンピュータシステム１５が観測等価であるか否かを判定するため、コンピュータシステム１０における２組のデータに対する実行結果を生成して記憶部３０に記録する手順について説明する。まず、第１の入力部２０は任意の１組のデータｄを実行部１２に入力する。ここで、コンピュータシステム１０をＳで示すと、実行部１２は、入力されるｄに基づいて実行を行い実行結果Ｓ（ｄ）を記憶部３０に記録する。
【００４２】
また、第１の入力部２０は当該１組のデータｄをサブコンピュータシステム１３に入力し、サブコンピュータシステム１３は、第２の入力部１４から入力される同値関係Ｒを示す同値関係情報に基づいて、同値関係となるデータの中からランダムに１組のデータを検出し、検出したデータｄ’を実行部１２に入力する。ここで、ｄ及びｄ’は、ｄＲｄ’の同値関係を有している。実行部１２は、サブコンピュータシステム１３から入力されるｄ’に基づいて実行を行い入力データｄに対する第２のコンピュータシステム１５の実行結果であるＳ’（ｄ）を記憶部３０に記録する。当該手順により、記憶部３０には、同値関係にある２組のデータｄ及びｄ’に対するコンピュータシステム１０の実行結果であるＳ（ｄ）及びＳ’（ｄ）が記憶部３０に記録される。
【００４３】
次に、第２のコンピュータシステムにおける２組のデータに対する実行結果を算出する。まず、第１の入力部２０は、ｄＲｄ’を満たすデータの中から任意の１組のデータｄをサブコンピュータシステム１３に入力すると、サブコンピュータシステム１３は、第２の入力部１４から入力される同値関係Ｒを示す同値関係情報に基づいて、同値関係Ｒを満たすデータの中からランダムに１組のデータｄ’を検出し、検出したｄ’を実行部１２に入力する。ここで、第２のコンピュータシステム１５をＳ’で示すと、実行部１２は、サブコンピュータシステム１３から入力されるｄ’に基づいて実行を行い入力データｄに対する第２のコンピュータシステム１５の実行結果としてＳ’（ｄ）を記憶部３０に記録する。
【００４４】
また、第１の入力部２０は、ｄＲｄ’を満たすデータの中から任意の１組のデータｄ’をサブコンピュータシステム１３に入力する。サブコンピュータシステム１３は、第２の入力部１４から入力される同値関係Ｒを示す同値関係情報に基づいて、ｄ’Ｒｄ’’となるデータの中からランダムに１組のデータｄ’’を検出し、検出したｄ’’を出力する。実行部１２は、サブコンピュータシステム１３から入力されるｄ’’に基づいて実行を行いＳ’（ｄ’）を記憶部３０に記録する。当該手順により、記憶部３０には、同値関係にある２組のデータｄ及びｄ’に対する第２のコンピュータシステム１５の実行結果であるＳ’（ｄ）及びＳ’（ｄ’）が記録される（ステップ３）。
【００４５】
次に、第１の観測等価性判定部３１は、コンピュータシステム１０の実行結果であるＳ（ｄ）とＳ（ｄ’）とが観測等価であるか否かを判定する。当該観測等価であるか否かの判定は、次の文献に示されている技術を用いて判定することができる。
（Bjorn Victor and Faron Moller "The Mobility Workbench ・ A Tool for the pi-Calculus."In Proc. of Computer Aided Verification, 6th International Conference, CAV'94, LNCS 818, pp428-440, 1994.なお、著者名のBjornの o はオーウムラウト）
【００４６】
第１の観測等価判定部３１は、判定結果が「真」ならば、当該判定結果を第２の観測等価性判定部３２に入力する。一方、判定結果が「偽」ならば、ステップＳ２に戻り、サブコンピュータシステム１３と実行部１２の入力端子１２−１〜１２−Ｎの接続点を変更し、メインコンピュータを再構成する（ステップＳ４）。
【００４７】
次に、第１の観測等価判定部３１が、「真」として判定した場合、当該判定結果が入力された第２の観測等価判定部３２は、第２のコンピュータシステム１５の実行結果であるＳ’（ｄ）と、Ｓ’（ｄ’）とが観測等価となるか否かを判定する。当該観測等価であるか否かの判定は、次の文献に示されている定理証明システムを用いて判定することができる。
（Christine Rockl, Daniel Hirschkoff, Stefan Berghofer, "Higher-Order Abstract Syntax with Induction in Isabelle/HOL: Formalizing the pi-Calculus Mechanizing the Theory of Contexts.", In Proc. of Foundations of Software Science and Computation Structures, 4th International Conference, FOSSACS 2001, LNCS 2030, pp.364-378, 2001. なお、著者名のRocklの o はオーウムラウト）
【００４８】
定理証明システムとは、仮定する論理式及び証明すべき論理式を入力とし、仮定する論理式に予め決められた推論規則を適用して証明すべき論理式を得られるか否かを判定して出力するシステムである。第２の観測等価性判定部３２を構成するためには、仮定する論理式としてｄとＳ’（ｄ）の関係を表す論理式を入力し、証明すべき論理式として、ｄＲｄ’を満たす任意のｄ、ｄ’についてＳ’（ｄ）とＳ’（ｄ’）が観測等価でることを表す論理式を入力することにより構成することができる。
【００４９】
第２の観測等価判定部３２は、判定結果が「真」ならば出力部３３に結果を入力し、判定結果が「偽」の場合にはステップＳ２に戻る（ステップＳ５）。
【００５０】
出力部３３は、第２の観測等価判定部３２から、「真」の判定結果が入力された場合、「真」を観測等価判定の結果として出力する。一方、上記の処理において一定回数以上ステップＳ２に戻る処理が行われた場合や、一定時間経過した場合には、強制的に処理を停止して「偽」を出力する（ステップＳ６）。
【００５１】
上記の構成により、出力部３３から「真」が出力された場合、第２の入力部１４から入力された同値関係Ｒで示される入力データの制限に対し、ｄＲｄ’を満たす任意の２組のデータｄ及びｄ’について、ステップＳ５の第１の観測等価判定部３１の判定結果が「真」であることから、Ｓ（ｄ）及びＳ（ｄ’）はそれぞれ、Ｓ’（ｄ）及びＳ’（ｄ’）と観測等価であることが分かる。さらに、ステップＳ６の第２の観測等価判定部３２の判定結果が「真」であることから、Ｓ’（ｄ）はＳ’（ｄ’）と観測等価である。これらの結果に基づいて、観測等価性が対象律及び推移律を満たすことから、Ｓ（ｄ）とＳ（ｄ’）が観測等価であることが分かる。すなわち、本実施形態の秘匿性検査装置１を用いることで、判定結果として「真」が得られた場合、同値関係Ｒという制限のもとで、ｄＲｄ’を満たす任意のｄ及びｄ’に対し実行結果Ｓ（ｄ）及びＳ（ｄ’）が観測等価であることを判定でき、これにより、制限された範囲でのコンピュータシステム１０の秘匿性の検査を行うことができる。
【００５２】
上記の実施形態において、第２のコンピュータシステム１５を構成する際に、以下のような条件を満たすことが求められることになる。すなわち、
（１）第２のコンピュータシステムは、メインコンピュータシステム及びサブコンピュータシステムから構成されること。
（２）任意の２組のデータに対し、それぞれのデータの組を入力とするメインコンピュータシステムの２つの動作は観測等価であること。
（３）サブコンピュータシステムはメインコンピュータシステムに１組のデータを入力する。この１組のデータは、第２のコンピュータシステムに入力される１組のデータと合わせて２組のデータとしたとき、同値関係Ｒを満たしていること。
（４）任意の１組のデータに対し、当該データを入力した場合のコンピュータシステム１０と第２のコンピュータシステム１５の動作が観測等価となること。
という４つの条件を満たすことになる。
【００５３】
また、第１の観測等価判定部３１においても定理証明システムを用いて判定することができ、定理証明システムによる第１の観測等価性判定部３１を構成するためには、仮定する論理式としてｄとＳ（ｄ）の関係を表す論理式及びｄとＳ’（ｄ）の関係を表す論理式を入力し、証明すべき論理式として、任意のｄについてＳ（ｄ）とＳ’（ｄ）が観測等価でることを表す論理式を入力することにより構成することができる。
また、第１の観測等価判定部３１及び第２の観測等価判定部３２において、定理証明システム以外に、モデル検査という技術を適用することも可能である。
【００５４】
次に、図４及び図５を参照して図２で示した投票システム１００に基づいて本実施形態に係る秘匿性検査装置１を構成する具体例について説明する。
図２に示した投票システム１００について、２組のデータの選び方に、各候補者についてその得票数が２組のデータで同一となる制限を設けて判定する手順について以下に説明する。
【００５５】
投票システム１００の動作に基づいてサブコンピュータシステム１３ａを構成すると、当該サブコンピュータシステム１３ａは、入力されるデータの組に対して集計装置１２ａから同じ開票結果が出力される入力データの組をランダムに検出して出力することになる。例えば、有権者Ａ及びＢがそれぞれ候補者Ｘ及びＹにそれぞれ投票する場合に、入力装置２１から候補者Ｘを含む情報が入力され、入力装置２２から候補者Ｙを含む情報が入力されるが、当該入力に対して、サブコンピュータシステム１３ａは、当該入力データそのもの、すなわち、有権者Ａが候補者Ｘに投票し、有権者Ｂが候補者Ｙに投票する場合の入力データか、あるいは、有権者Ａが候補者Ｙに投票し、有権者Ｂが候補者Ｘに投票する場合の入力データのいずれか一方をランダムに検出して出力する。
【００５６】
図４は、投票システム１００に対する上述したメインコンピュータに相当する構成を示したメインコンピュータ２００の構成図であり、入力装置２１及び入力装置２２と、集計装置１２ａの接続がない状態のコンピュータシステムとなっている。
【００５７】
図５は、メインコンピュータ２００に上記のサブコンピュータシステム１３ａを接続し、上述した第２のコンピュータシステム１５に相当する第２のコンピュータシステム１５ａを示した構成図である。図５に示される実施形態では、集計装置１２ａの全ての機能ブロックを検査対象としているため、サブコンピュータシステム１３ａは、入力装置２１と入力装置２２が集計装置１２ａに接続していた箇所で接続し、サブコンピュータシステム１３ａからの入力に対しても集計装置１２ａは、全ての機能が動作することになる。
【００５８】
当該第２のコンピュータシステム１５ａでは、入力装置２１と入力装置２２がそれぞれサブコンピュータシステム１３ａに接続され、サブコンピュータシステム１３ａが集計装置１２ａに接続される。また、サブコンピュータシステム１３ａには、図１と同様に第２の入力部１４が接続され、同値関係Ｒを示す同値関係情報が予め入力され、入力装置２１及び入力装置２２とから出力される候補者名を含む２つの情報を１組のデータとする。また、集計装置１２ａには、図１に示す記憶部３０が接続され、記憶部３０に記憶される実行結果は、第１の観測等価性判定手段３１及び第２の観測等価性判定手段３２により判定され、判定結果が出力部３３から出力される。
【００５９】
投票システム１００をＳとし、第２のコンピュータシステム１５ａをＳ’で表すと、図３に示したフローチャートに従って、Ｓ（ｄ）及びＳ’（ｄ）と、Ｓ’（ｄ）とＳ’（ｄ’）とが算出される。
【００６０】
ここで、サブコンピュータシステム１３ａは、入力装置２１と入力装置２２とから入力される任意の１組のデータに対して、集計結果が投票システム１００と同じになるような１組のデータを出力する同値関係Ｒを示す同値関係情報が入力されているため、外部から投票システム１００と、第２のコンピュータシステム１５ａとによる実行は区別できず、第１の観測等価性判定部３１により、Ｓ（ｄ）とＳ’（ｄ）観測等価であると判定される。
【００６１】
また、開票結果が同じなるという制限、すなわちｄＲｄ’を満たす任意の２つのデータの組ｄ及びｄ’に対し、サブコンピュータシステム１３ａは、実行結果Ｓ’（ｄ）が出力される際には、入力データｄとの間で同値関係Ｒを満たすデータの中からランダムに１組のデータｄxを検出する。ここで、ｄxは、ｄＲｄxを満たしている。一方、実行結果Ｓ’（ｄ’）が出力される際には、サブコンピュータシステム１３ａには、１組のデータｄ’が入力されるが、ここで、ｄ’ は、ｄＲｄ’を満たしており、Ｒは同値関係を示すので、ｄＲｄxを満たすデータの組ｄxを検出することは、ｄ’Ｒｄxを満たすデータの組ｄxを検出することと同じである。従って、Ｓ’（ｄ）とＳ’（ｄ’）とは区別できず観測等価であると判定され、出力部３３により「真」として出力されることになる。
【００６２】
上記の構成により、２組のデータの選び方に同値関係Ｒによって表される制限を設け、その制限の範囲内の任意の２組のデータについて、それぞれを入力とするコンピュータシステム１０と第２のコンピュータシステム１が観測等価であることを示すことが可能となり、コンピュータシステムの部分的な秘匿性検査を行うことが可能となる。
【００６３】
なお、本発明の第１の入力手段は、第１の入力部２０に対応し、実行手段は、実行部１２に対応し、第２の入力手段は、第２の入力部１４に対応し、サブコンピュータ手段は、サブコンピュータシステム１３に対応する。また、本発明の第１の観測等価性判定部３１は、第１の観測等価性判定手段３１に対応し、第２の観測等価性判定手段は、第２の観測等価性判定部３２に対応し、出力手段は、出力部３３に対応する。
また、本発明の第２の実行手段は、実行部１２の入力端子１２−１〜１２−Ｎのいずれかにサブコンピュータシステム１３の出力が接続される限定される実行部１２の一部の機能に対応する。
【００６４】
上述の秘匿性検査装置１は内部に、コンピュータシステムを有している。そして、上述した秘匿性検査装置１に係る処理は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
【図面の簡単な説明】
【００６５】
【図１】本実施形態による秘匿性検査装置を示すブロック図である。
【図２】同実施形態における投票システムを例とした秘匿性検査を説明するための図（その１）である。
【図３】同実施形態における秘匿性検査装置の動作を示すフローチャートである。
【図４】同実施形態における投票システムを例とした秘匿性検査を説明するための図（その２）である。
【図５】同実施形態における投票システムを例とした秘匿性検査を説明するための図（その３）である。
【符号の説明】
【００６６】
１    秘匿性検査装置
１０  コンピュータシステム
１２  実行部
１３  サブコンピュータシステム
１４  第２の入力部１４
１５  第２のコンピュータシステム
２０  第１の入力部
３０  記憶部
３１  第１の観測等価判定部
３２  第２の観測等価判定部
３３  出力部
【図１】
2007066184.tif 000003
【図２】
2007066184.tif 000004
【図３】
2007066184.tif 000005
【図４】
2007066184.tif 000006
【図５】
2007066184.tif 000007